Зошто широка VPN рута крши неколку јавни сајтови

Повеќето страници се вчитуваат, две или три истекуваат, а прелистувачот ја обвинува врската. Сајтовите што не се отвораат имаат нешто заедничко што го немаат оние што работат: нивните решени адреси паѓаат во префикс што го инсталирал VPN. Рута доволно широка за да покрие јавен опсег ќе фати сообраќај што тунелот никогаш немал намера да го носи, а симптомот изгледа како проблем на сајтот, а не како одлука за рутирање.

Решете го името што не се отвора, потоа гледајте во табелата за рутирање, а не во прелистувачот.

Споредете ја адресата, не името на сајтот

Пронајдете ја адресата што клиентот навистина ја обидел, потоа проверете која рута се совпаѓа со неа. Одредиште во 45.61.20.10 паѓа под 45.0.0.0/8 ако тој префикс е присутен, дури и ако самиот сајт нема никаква врска со тунелот. Споредувањето на адресата што не се отвора со инсталираните префикси е задача на одземање, не претпоставка.

Windows може директно да одговори на двете половини, а пребарувањето покажува кој интерфејс и следен хоп го добиле изборот. Решете го името двапати ако сајтот враќа неколку адреси. Запишете ја секоја со рутата што се совпаднала. Различни адреси можат да дадат различни одговори, а само една од нив може да е случајот што не се отвора.

Resolve-DnsName www.example.org
Get-NetRoute -AddressFamily IPv4 | Select-Object DestinationPrefix,InterfaceIndex,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 45.61.20.10
Get-VpnConnection | Format-List Name,SplitTunneling,Routes

Читајте го најконкретниот префикс што се совпаѓа, не првиот ред што изгледа познат. Рута присутна во табелата не докажува дека го добила пребарувањето; тоа го прави најдолгото совпаѓање. Два префикса можат да се совпаднат со една адреса, а само еден од нив ја прима пакетот. Губитникот останува во табелата и изгледа исто толку вистински во список.

Запишете го префиксот, неговиот интерфејс и решената адреса. Тие три вредности се целата дијагноза.

Откријте кој ја инсталирал рутата

Рутите доаѓаат од четири места: вградениот VPN профил, управувачка политика, скрипта за врска или сосема друг клиент. Бришењето на живиот запис може да ја потврди неговата важност, но следната врска го создава повторно од зачуваната конфигурација, па изворот е тоа што треба да се смени.

Прво проверете ја листата рути на профилот, потоа управувачката политика, потоа секоја скрипта што се извршува при поврзување. Тој редослед одговара на тоа колку често секоја од нив излегува одговорна. Тој исто така ја држи промената во еден слој наместо три.

Внимателно прочитајте го вграденото однесување засновано на класи

Вградените Windows профили имаат документирана поставка NativeProfile/DisableClassBasedDefaultRoute, која контролира автоматска рута изведена од адресата на интерфејсот. Адреса на профил што почнува со 45 може под тоа однесување да создаде запис 45.0.0.0/8, и така една јавна адреса фаќа цел опсег од класа A.

Името на својството наведува на погрешно читање: поставено на true ја исклучува изведбата, а false ја вклучува. Тоа исто така не е истиот објект како стандардна рута и не управува со клиенти на трети страни што инсталираат свои префикси.

Ако изведбата е докажаната причина, поправете го профилот преку неговиот управувачки сопственик и експлицитно наведете ги предвидените приватни префикси. Ако скрипта го додала записот, поправете ја скриптата. Замена на една необјаснета широка рута со друга го менува симптомот без да одговори на прашањето.

Поправете го изворот, потоа повторно проверете ги двата патишта

По промената, поврзете се повторно и повторете го пребарувањето за јавен сајт што не се отвора и за ресурс што мора да го користи тунелот. Првиот сега треба да се реши на физичкиот интерфејс, а вториот треба сè уште да го избира VPN. Не застанувајте на првиот успех; поправка што го крши и приватниот пристап заменила една грешка со друга.

Истовремено прегледајте го планот за адреси на серверот. Базен што се преклопува со јавниот простор го предизвикува овој тип проблем повторно и повторно. Опсег што операторот свесно го избрал заслужува друг разговор, не автоматско пренумерирање.

Зголемувањето на MTU или чистењето на DNS нема да го поправи префиксот што сè уште ја насочува таа адреса во тунелот. Прво тестирајте го изборот, потоа патеката.